Cyber Resilience Act e a Obrigação de Reportar Vulnerabilidades na UE

A entrada em vigor de parte do Cyber Resilience Act (CRA) da União Europeia em 11 de setembro de 2026 impõe uma nova realidade aos fabricantes de produtos digitais. A regra central exige o reporte à ENISA (Agência da União Europeia para a Cibersegurança) sobre vulnerabilidades que estejam sendo ativamente exploradas. O prazo é apertado: 24 horas a partir do momento em que o fabricante toma conhecimento, seguido de um relatório provisório em 72 horas. Isso não se refere a qualquer vulnerabilidade, mas apenas àquelas com exploração confirmada, evidenciada por logs ou indicadores de comprometimento.

Apesar da clareza da norma, o mecanismo de reporte inicial é um formulário web de 30 campos, sem API, o que levanta questões sobre a escalabilidade da plataforma da ENISA, especialmente em cenários de ataques em massa. A indústria deve se preparar com sistemas internos robustos, como as trocas de vulnerabilidades (VEX), para gerenciar e comprovar o tratamento de falhas. Além disso, empresas fora da UE que comercializam no bloco devem considerar a nomeação de um representante autorizado europeu para simplificar o processo e definir o foro legal, evitando lidar com múltiplas autoridades nacionais em diferentes idiomas, conforme detalhamos na matéria "CISA Alerta: Exploração Ativa de Vulnerabilidades no SharePoint Exige Ação Imediata das Empresas", de 17 de julho de 2026, e "CISA Prepara Regra Vital para Notificação de Incidentes Cibernéticos", de 11 de julho de 2026.

O que antes era uma previsão regulatória, agora é realidade. Notícias anteriores, como a matéria "Europa Reforça Segurança Cibernética: Novas Regras Impactam Startups e Gigantes" de 9 de setembro de 2026, já antecipavam a chegada das primeiras obrigações do Cyber Resilience Act para 11 de setembro de 2026. Agora, o que foi anunciado como uma data de virada se concretizou. Fabricantes de produtos com elementos digitais que atuam na UE já precisam reportar vulnerabilidades ativamente exploradas à ENISA, marcando o início de uma nova era de responsabilidade em cibersegurança.

Essa nova exigência da UE é um passo fundamental para aumentar a resiliência cibernética no bloco. Ao forçar fabricantes a reportar vulnerabilidades ativamente exploradas, o CRA busca criar um sistema de alerta precoce e uma resposta mais coordenada às ameaças. Isso transfere uma parcela significativa da responsabilidade pela segurança para quem desenvolve os produtos, incentivando um design mais seguro desde o início. É uma medida crucial em um cenário de cibersegurança cada vez mais complexo, onde a quantidade de vulnerabilidades cresce e a IA pode ser usada tanto na defesa quanto no ataque, conforme debatemos na matéria "Segurança Cibernética: A Imperativa da Contenção em Tempos de IA Ofensiva", de 15 de julho de 2026.